Síla hesla

Vaše heslo nikdy neopustí vaše zařízení. Jak chráníme soukromí

Heslo ke kontrole

Vyzkoušejte:

Zjistěte, jak dlouho by trvalo heslo prolomit a zda uniklo.

Síla hesla: bezplatná kontrola

Ověřte si, jak bezpečné je vaše heslo. Napište ho nebo vložte výše a zjistěte, jak je silné, jak dlouho by trvalo jeho prolomení a zda patří mezi milion nejčastěji uniklých hesel. Vše probíhá ve vašem prohlížeči už během psaní a heslo nikdy neopustí toto zařízení.

Když přestanete psát, vyhledá heslo také v seznamu Pwned Passwords služby Have I Been Pwned. Odesílá přitom jen 5 znaků kryptografického otisku, nikdy samotné heslo. Podívejte se, co přesně se odesílá.

Přejít na: Co znamená výsledek · Co se odesílá · Když je heslo slabé · Otázky

Co výsledek znamená

Většina hesel se neprolamuje tak, že někdo zadává své tipy na přihlašovací stránce. Útočníci se nabourají do webu, ukradnou uložená hesla a pak je zkoušejí uhodnout na vlastních počítačích tak rychle, jak jim hardware dovolí. Čas uvedený v kontrole síly hesla počítá s 1 000 grafickými kartami, které zkoušejí hesla plnou rychlostí. Podle tohoto času se určuje hodnocení:

Velmi silné: Milion let nebo více; Dostatečně silné pro vše, co tato kontrola síly hesla dokáže posoudit, pokud je náhodné a jedinečné
Silné: Méně než milion let; Vhodné pro většinu účtů, pokud je jedinečné
Ucházející: Méně než 100 let; Při příštím přihlášení ho změňte
Slabé: Méně než rok; Ihned ho změňte všude, kde ho používáte

Vypadá silně, ale není

Většina nástrojů pro kontrolu síly hesla počítá délku a typy znaků, takže heslo jako P@ssw0rd2024! hodnotí skvěle. Nástroje na prolamování hesel ale nepočítají znaky. Zkoušejí vzorce, které lidé používají, a začínají právě jimi. Takto náš nástroj pro kontrolu síly hesla hodnotí některá zdánlivě dobrá hesla:

P@ssw0rd2024!UnikléSlovo, záměny za podobné znaky, rok a symbol: nalezeno v únicích dat přibližně 500krát
Password123!UnikléNalezeno v únicích dat přibližně 300 000krát
Liverpool1892UnikléTým a rok jeho založení: přibližně 27 000 výskytů v únicích dat
k7#Rq!9vT$2m@LxVelmi silnéNáhodné: prolomení by trvalo 31 milionů let

Heslo nalezené v úniku dat není bezpečné bez ohledu na svou sílu, protože útočníci zkoušejí uniklá hesla jako první. Nástroj pro kontrolu síly hesla může ukázat, že je heslo slabé; nemůže ale prokázat, že je bezpečné.

Zdroje: Testy výkonu grafických karet (hashcat), zxcvbn (USENIX Security), Doporučení NIST pro hesla, NIST o kvantových počítačích. Seznamy slov z projektu FrequencyWords od autora Hermit Dave, CC BY-SA 4.0.

Co se odesílá při kontrole úniků hesel

Při zadávání jednotlivých znaků nic. Když přestanete psát nebo vložíte heslo, jednou proběhne následující postup, který si ukážeme na hesle password:

Zadáte heslopasswordzůstává na vašem zařízení
Prohlížeč z něj vytvoří otisk SHA-15BAA61E4C9B93F3F0682250B6CF8331B7EE68FD8zůstává na vašem zařízení
Do služby Have I Been Pwned se odešle jen prvních 5 znaků5BAA6odesílá se
Služba vrátí všechny otisky uniklých hesel se stejným začátkem, přibližně 2 000, spolu s uměle přidanými záznamyváš prohlížeč hledá shodu

Služba nikdy neuvidí heslo ani jeho celý otisk, takže nemůže určit, který z těchto 2 000 otisků jste kontrolovali.

Rychlá kontrola úniku probíhá na vašem zařízení. Stránka si jednorázově stáhne úsporný seznam otisků milionu nejčastěji uniklých hesel, takže kontrola při psaní nevyžaduje žádný požadavek na server. Pravděpodobnost falešné shody je přibližně jedna ku milionu.
Jeden požadavek na heslo, nikdy ne při každém stisku klávesy. Kontrola počká, až přestanete psát. Pokud je heslo už v seznamu uloženém na vašem zařízení, neodesílá se vůbec nic. Drobné změny hesla (oprava překlepu, přidání několika znaků) se kontrolují nejvýše dvakrát: porovnání téměř totožných kontrol by totiž mohlo heslo prozradit. Některé nástroje odesílají požadavek při každém stisku klávesy, a tyto požadavky tak dohromady prozrazují heslo znak po znaku.
Nic se neuchovává. Heslo se nikdy neukládá, nikdy se nevkládá do adresního řádku a po opuštění stránky zmizí.
Ověřte si to sami. Otevřete kartu Síť ve vývojářských nástrojích prohlížeče a začněte psát: nic se neodesílá, dokud nepřestanete. Pak uvidíte jediný požadavek na api.pwnedpasswords.com, jehož adresa končí 5 znaky zobrazenými v této sekci. Nebo se odpojte od internetu: vše kromě kontroly všech známých úniků bude fungovat dál.

Data o uniklých heslech: Pwned Passwords od Have I Been Pwned, použitá pod licencí Creative Commons Uveďte původ 4.0.

Pokud je vaše heslo slabé nebo uniklo

Změňte ho na všech webech, kde ho používáte, a začněte e-mailem, protože přes něj můžete obnovit přístup k ostatním účtům.
Vytvořte nové heslo místo úpravy starého. Přidání znaku nebo změna 1 na 2 patří mezi první úpravy, které útočníci zkoušejí. Vytvořte si náhodné heslo nebo heslovou frázi.
Používejte správce hesel, aby každý účet mohl mít vlastní heslo, aniž byste si museli pamatovat jediné z nich.
Zapněte dvoufázové ověření všude, kde je k dispozici. Chrání účet i v případě úniku hesla.

Často kladené otázky

Jaký nástroj pro kontrolu síly hesla je nejbezpečnější?

Takový, který při psaní nic neodesílá a umožní vám si to ověřit. Tato stránka přímo na vašem zařízení kontroluje sílu hesla a porovnává ho s milionem nejčastěji uniklých hesel. Úplná kontrola úniků počká, až přestanete psát, a jednorázově odešle jen 5 znaků otisku hesla. Můžete to sledovat na kartě Síť ve vývojářských nástrojích prohlížeče nebo se odpojit od internetu a ověřit si, že kontrola síly hesla funguje dál.

Jak zjistím, jestli moje heslo uniklo?

Napište ho nebo vložte do pole výše. Pokud patří mezi milion nejčastěji uniklých hesel, uvidíte to hned. Když přestanete psát, kontrola prověří také všechny známé úniky. Pokud se heslo objeví v jakémkoli úniku, přestaňte ho používat.

Je používání Have I Been Pwned bezpečné?

Ano, pro kontrolu hesel. Kontrola je navržená tak, aby služba vaše heslo nikdy nedostala: prohlížeč odešle pouze prvních 5 znaků otisku hesla a konečné porovnání provede sám. Tato stránka si navíc vyžádá doplnění odpovědi o zástupné záznamy, takže ani její velikost nic neprozradí.

Které heslo se v únicích objevuje nejčastěji?

123456, které se v únicích dat objevilo více než 210 milionkrát. Následují 123456789, 12345678, password a qwerty (údaje z Have I Been Pwned). Cokoli člověka rychle napadne, už na seznamech je.

Můžete uvést příklad silného hesla?

Žádný příklad, který jste někde viděli zveřejněný, už není silným heslem, protože už je na seznamech. Dokonce i correcthorsebatterystaple z komiksu xkcd se v únicích objevilo tisícekrát. Silné heslo vzniká náhodně a jen pro vás: použijte generátor hesel nebo generátor heslových frází.

Jak dlouho by trvalo prolomit moje heslo?

Zadejte heslo výše a kontrola síly hesla ukáže průměrný čas, za který ho prolomí 1 000 grafických karet zkoušejících hesla z ukradeného seznamu plnou rychlostí. S takovým scénářem se vyplatí počítat. Náhodné heslo o 8 znacích se podaří prolomit během několika sekund; u náhodného hesla o 16 znacích to trvá přibližně 3 miliardy let.

Proč jiné nástroje pro kontrolu síly hesla ukazují delší časy?

Každý nástroj pro kontrolu síly hesla musí vycházet z nějakého předpokladu o možnostech útočníka, ale většina neuvádí z jakého. Mnohé počítají s webem, který hesla ukládá způsobem záměrně zpomalujícím jejich ověřování, takže lze vyzkoušet jen tisíce hesel za sekundu. Některé vycházejí z výkonu grafických karet před lety a jiné zohledňují jen délku a přehlížejí vzory, jako jsou slova a data. My ukazujeme méně příznivý scénář a otevřeně to říkáme: ukradený seznam hesel, která plnou rychlostí zkouší uhodnout 1 000 grafických karet. Na mnoha dobře spravovaných webech trvá prolomení hesel mnohem déle, ale nemůžete poznat, jak je na tom konkrétní web. Berte proto naše časy jako nejhorší scénář, se kterým je třeba počítat.

Proč se i dlouhé heslo zobrazuje jako slabé?

Protože nástroje na prolamování hesel nehádají jedno písmeno po druhém. Zkoušejí celá slova, jména, názvy míst, data a běžná hesla, pak je spojují a přidávají čísla. LiverpoolFootball1892 má 21 znaků, ale pro nástroj na prolamování hesel jsou to dvě běžná slova a rok: přibližně sto milionů pokusů, které jedna grafická karta zvládne za méně než sekundu. Délka pomáhá jen tehdy, když jsou znaky nepředvídatelné, jako u náhodného hesla nebo heslové fráze z náhodných slov.

Kde zjistím, která z mých uložených hesel unikla?

Správce hesel je může zkontrolovat všechna najednou. Na iPhonu nebo Macu otevřete aplikaci Hesla a podívejte se do části Zabezpečení. V prohlížeči Chrome najdete ve Správci hesel Google funkci Kontrola hesel. NordPass, Bitwarden, 1Password a většina dalších správců hesel nabízí podobný přehled.

Jak dlouhé by mělo být heslo?

Alespoň 16 náhodných znaků nebo sedm náhodných slov. NIST, americký úřad pro standardy, doporučuje webům přijímat hesla o délce alespoň 64 znaků a vyžadovat nejméně 15 znaků, pokud je heslo jedinou ochranou účtu.

Jazyk